PT-2026-37282 · Grav · Grav-Plugin-Api

N0Tra4E · Publicado 2026-05-05 · Atualizado 2026-05-27 · CVE-2026-42843

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Grav API Plugin versões anteriores a 1.0.0-beta.15

Descrição Uma referência direta a objeto insegura e uma falha de lógica na função update() do UsersController permitem que qualquer usuário autenticado com permissões básicas de api.access modifique sua própria configuração de permissões. Ao enviar uma requisição PATCH para o endpoint de atualização de usuário, um invasor pode sobrescrever a variável access para conceder a si mesmo privilégios de Super Administrador (admin.super e api.super). Esta escalada de privilégios vertical pode levar ao comprometimento total do sistema e a uma potencial execução remota de código (RCE), permitindo que o invasor modifique configurações ou faça o upload de plugins maliciosos.

Recomendações Atualize o Grav API Plugin para a versão 1.0.0-beta.15.

Exploit

Correção

RCE

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-42843

GHSA-R945-H4VM-H736

Produtos afetados

Grav-Plugin-Api

Referências · 7

• 🔥 https://github.com/getgrav/grav/security/advisories/GHSA-r945-h4vm-h736 · Exploit
• https://github.com/getgrav/grav · Nota
• https://github.com/getgrav/grav-plugin-api/commit/26f529c7d438c73343e82311fb095caeaf1a6116 · Nota
• https://t.me/cveNotify/164900 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-r945-h4vm-h736 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2053932459553886305 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42843 · Nota de Segurança